第二章TCP/IP協(xié)及其安全隱患-ARP協(xié)議安全銀黃的防御技術(shù)計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)ARP協(xié)議安全威脅的防御技術(shù)ARP協(xié)議安全隱患防御技術(shù)1采用靜態(tài)綁定的方式防止ARP欺騙2采用ARP代理服務(wù)器3在網(wǎng)絡(luò)設(shè)備上對(duì)ARP消息進(jìn)行檢測(cè)和控制4禁用GARP功能ARP協(xié)議安全威脅的防御技術(shù)1、采用靜態(tài)綁定的方式防止ARP欺騙ARP欺騙的最終是導(dǎo)致主機(jī)的本地ARP表出現(xiàn)錯(cuò)誤的IP地址和MAC地址映射。如果能夠有一種方法確保ARP表中信息的真實(shí)性，則可以有效防止ARP欺騙攻擊?？梢酝ㄟ^(guò)添加靜態(tài)ARP表項(xiàng)到ARP表中，從而手工綁定IP-MAC映射。由于靜態(tài)ARP表項(xiàng)的生命期是永久的（直至網(wǎng)卡重新激活），因此不會(huì)因ARP欺騙包而改變這種映射關(guān)系Windows和Linux平臺(tái)均可以通過(guò)arp命令完成靜態(tài)表項(xiàng)的添加。ARP協(xié)議安全威脅的防御技術(shù)2、采用ARP代理服務(wù)器ARP欺騙之所以能夠成功，從根源來(lái)看是缺少認(rèn)證機(jī)制，即ARP請(qǐng)求者和ARP響應(yīng)者均無(wú)法確認(rèn)對(duì)方的身份。可以引入可信的ARP代理服務(wù)器（Proxy

ARP），對(duì)本網(wǎng)絡(luò)中或跨網(wǎng)段的ARP請(qǐng)求提供服務(wù)即當(dāng)主機(jī)需要進(jìn)行ARP請(qǐng)求時(shí)，不是廣播發(fā)送ARP請(qǐng)求消息而是向可信的ARP服務(wù)器發(fā)送該ARP請(qǐng)求消息。ARP協(xié)議安全威脅的防御技術(shù)3、在網(wǎng)絡(luò)設(shè)備上對(duì)ARP消息進(jìn)行檢測(cè)和控制交換機(jī)：通過(guò)端口綁定的方式，只允許滿(mǎn)足特定條件的ARP請(qǐng)求和ARP響應(yīng)數(shù)據(jù)包通過(guò)路由器：僅允許已經(jīng)建立了IP地址和MAC地址綁定的數(shù)據(jù)包通過(guò)。不會(huì)通過(guò)學(xué)習(xí)的方式來(lái)更新自己的ARP表防火墻：通過(guò)發(fā)送可信GARP請(qǐng)求消息來(lái)防止ARP欺騙。在發(fā)現(xiàn)ARP欺騙時(shí)，主動(dòng)發(fā)送GARP請(qǐng)求包，強(qiáng)制主機(jī)更新自己本地ARP緩存。ARP協(xié)議安全威脅的防御技術(shù)4、禁用GARP功能針對(duì)攻擊者通過(guò)發(fā)送惡意GARP請(qǐng)求消息可以禁用GARP功能達(dá)到防御ARP欺騙的目的。主機(jī)也可以